Čtení AWS účtenek

Zabezpečení AWS pro vývojáře

Rahul Singh

Technical Product Manager

Co obsahuje jeden záznam

CloudTrail: jedno volání API, jeden záznam

Co bylo zavoláno: eventName
Kdy, v UTC: eventTime
Kdo volání provedl: userIdentity
Na jakém zdroji: requestParameters

Karta záznamu s pěti očíslovanými poli, u každého je uvedena příkladová hodnota: eventName, eventTime, userIdentity, requestParameters a errorCode. Pátý ukazatel je oranžový a jeho hodnota je AccessDenied.

Co obsahuje jeden záznam

CloudTrail: jedno volání API, jeden záznam

Co bylo zavoláno: eventName
Kdy, v UTC: eventTime
Kdo volání provedl: userIdentity
Na jakém zdroji: requestParameters
Zamítnuto, a proč: errorCode

Záznam identifikuje principala

Dvě pole, jedna identita

Relace: volající, v arn, začíná na arn:aws:sts:
Role: její oprávnění, v sessionIssuer, začíná na arn:aws:iam:

Dvě oblasti nad sebou. Horní oblast s nadpisem Principal zobrazuje ARN relace assumed-role/ReportsRole/deploy-42, od kterého plná šipka vede dolů k ARN role role/ReportsRole, jež ji vydala – obě čáry plné. Dolní oblast s nadpisem Actor zobrazuje tři přerušované rámečky pro název relace, sourceIPAddress a userAgent, všechny směřující dolů k přerušovanému rámečku s popiskem Odvozeno.

Záznam identifikuje principala

Dvě pole, jedna identita

Relace: volající, v arn, začíná na arn:aws:sts:
Role: její oprávnění, v sessionIssuer, začíná na arn:aws:iam:

Actor není pole

Odvozeno: název relace, sourceIPAddress

Čtyři pole místo čtyřiceti

Čtyřicet polí, čtyři důležitá

Actor: kdo akci spustil
Principal: identita ověřená AWS
Action: co bylo zavoláno
Resource: čeho se to týkalo

Hustý záznam události s mnoha šedými pruhy polí, z nichž čtyři jsou zvýrazněné modře, se šipkou dolů ke kompaktní kartě se čtyřmi očíslovanými řádky: actor, principal, action a resource.

Čtyři pole místo čtyřiceti

Čtyřicet polí, čtyři důležitá

Actor: kdo akci spustil
Principal: identita ověřená AWS
Action: co bylo zavoláno
Resource: čeho se to týkalo

Odkud pocházejí

Action z eventName, resource z requestParameters
Principal z userIdentity, actor odvozen

Výchozně zapnuto, nebo výchozně vypnuto

Management events

Volání v control plane
Zahrnuje každé volání KMS, takže Decrypt spadá sem
Event history: bezplatný 90denní náhled v konzoli

Tři názvy volání v control plane v rámečku, od kterého plná šipka vede k rámečku s textem Výchozně zaznamenáváno.

Výchozně zapnuto, nebo výchozně vypnuto

Management events

Volání v control plane
Zahrnuje každé volání KMS, takže Decrypt spadá sem
Event history: bezplatný 90denní náhled v konzoli

Data events

Čtení objektů, spouštění funkcí, zápisy položek
Trail: průběžné doručování, účtováno zvlášť
Selektor určuje typ zdroje a čtení, zápisy, nebo obojí

Tři názvy volání v control plane v rámečku, od kterého plná šipka vede k rámečku s textem Výchozně zaznamenáváno.

Tři názvy volání v data plane v rámečku, od kterého přerušovaná šipka vede k přerušovanému rámečku s textem Nezaznamenává se, dokud o to nepožádáš.

Nikdo to nezaznamenával

Časová osa se třemi body: zvolíš, co se má zaznamenávat, stáhne se soubor a otevřeš CloudTrail. Přerušovaná čára vede od prvního bodu až k poslednímu, kde se větví na rámeček Událost nalezena a rámeček Nic tu není.

Rozhodnuto předem, přečteno až poté

Nikdo to nezaznamenával

Rozhodnuto předem, přečteno až poté

Data events zapnuty pro zákaznická data
Pro ostatní vypnuty

Důkazy mířící dopředu

IAM Access Analyzer

Policy validation: zkontroluje zásadu, kterou napíšeš

Tři fáze nad sebou. Rámeček s názvy událostí, které role použila – GetObject, ListBucket a Decrypt – vstupuje do IAM Access Analyzer, odkud výstup směřuje do vygenerované zásady obsahující jmenné IAM akce s3:GetObject, s3:ListBucket a kms:Decrypt.

Důkazy mířící dopředu

IAM Access Analyzer

Policy validation: zkontroluje zásadu, kterou napíšeš
Policy generation: až 90 dní z tvého trailu
Potřebuje trail, ne Event history

Uděleno, ale nikdy nepoužito

Dva pruhy. Horní pruh ukazuje čtyřicet dva udělených akcí. Dolní pruh se dělí na úzký zelený segment se třemi akcemi a široký přerušovaný segment s třiceti devíti nepoužitými.

Unused access findings

Role, klíče a akce, které nikdo nepoužil

Uděleno, ale nikdy nepoužito

Dva pruhy. Horní pruh ukazuje čtyřicet dva udělených akcí. Dolní pruh se dělí na úzký zelený segment se třemi akcemi a široký přerušovaný segment s třiceti devíti nepoužitými.

Unused access findings

Role, klíče a akce, které nikdo nepoužil

Používané neznamená nutné

Uděleno, ale nikdy nepoužito

Dva pruhy. Horní pruh ukazuje čtyřicet dva udělených akcí. Dolní pruh se dělí na úzký zelený segment se třemi akcemi a široký přerušovaný segment s třiceti devíti nepoužitými.

Unused access findings

Role, klíče a akce, které nikdo nepoužil

Používané neznamená nutné

Princip nejmenších oprávnění, měřitelně

Důkazy na vstupu, přísnější zásada na výstupu

Pojďme cvičit!

Zabezpečení AWS pro vývojáře